EAP gjennom en VPN-gateway: hvem avslutter metoden

Støttebilletter beskriver en mislykket VPN-innlogging og en RADIUS-policy som krever en sterkere metode som om det var samme problem, og det er det ikke. Gatewayen godtar enten legitimasjon og videresender den, eller den fører en EAP-samtale mellom klienten og autentiseringsserveren. Hvilken av delene som skjer avgjør om en endring på serversiden i det hele tatt kan rette noe. Les utvekslingen før du redigerer servergruppen.

To autentiseringsveier som ser like ut i en logg

På den første veien samler VPN-gatewayen inn brukernavn og passord og sender en RADIUS Access-Request med et passordattributt. Autentiseringsserveren sammenligner med sitt lager og svarer godta eller avslå. Klienten kjører aldri en EAP-metode, fordi ingenting ba den om det.

På den andre veien kjører klienten og autentiseringsserveren EAP-metoden ende til ende, og gatewayen videresender EAP-Message-attributter mellom dem. Gatewayen avslutter fortsatt den ytre RADIUS-samtalen, men metodens logikk ligger hos de to endepunktene.

Begge veier gir en linje i loggen som sier at autentiseringen mislyktes. Bare den andre kan påvirkes av hvilken EAP-metode serveren foretrekker, og bare den første av hvordan gatewayen leser passordet. Å behandle dem som utskiftbare er hvordan team bruker en dag på å endre servergrupper for en klient som aldri ville snakke PEAP.

Hvor metoden faktisk kjører

RFC 3579 definerer gjennomføringsordningen: NAS-en bærer EAP-pakker i RADIUS-attributter og trenger ikke metodespesifikk kode for hver EAP-type. Derfor kan en gateway støtte PEAP og EAP-TLS uten å implementere noen av dem.

En gateway som sender inn et passord, bærer ikke PEAP, selv om backend ville godta PEAP fra en annen klient. Å slå på PEAP i serverpolicyen legger ikke til en metode for en klient som aldri har tilbudt en.

PPP-autentiseringsinnstillinger hører til PPP-tjenesten. De omkonfigurerer ikke stille hver IPsec- eller eldre XAuth-vei som bruker samme AAA-server, så en endring som virker for én tilgangstype kan la den andre være urørt.

Hva NAS-en må støtte

Gjennomføringen flytter kravet fra metodekode til bærerstøtte. Gatewayen må kunne bære EAP over VPN-protokollen sin, og RADIUS-klienten på den må kunne sende og motta EAP-Message-attributter i de aktuelle størrelsene.

For IKEv2 er EAP en del av en definert autentiseringsflyt, og serverens identitets- og tillitskontroller kommer fra den flyten. En PEAP-etikett lånt fra en 802.1X-utrulling overføres ikke automatisk, fordi forhandlingen rundt den er annerledes.

Klientsiden har også krav. Den må være konfigurert for metoden, stole på servercertifikatet metoden presenterer, og ha legitimasjon metoden kan bruke. En sertifikatbasert metode uten klientcertifikat feiler før RADIUS ser noe, og det er et klargjøringsproblem og ikke et serverpolicyproblem.

Les ett forsøk før du endrer policy

Ta opp ett enkelt godkjent forsøk ved gatewayen og ved autentiseringsserveren. Se etter EAP-Message-attributter i RADIUS-forespørselen. At de finnes, forteller at gjennomføringsveien er i bruk; at de mangler, peker på en utveksling av legitimasjon.

På en Linux-gateway viser et opptak på RADIUS-porten hvilke attributter som ligger på ledningen:

sudo tcpdump -ni any -X 'udp port 1812' -c 20

Sammenlign så avvisningspunktet. En feil ved gatewayen før noen RADIUS-pakke betyr at klienten og gatewayen var uenige om metoden. En RADIUS-avvisning med EAP-attributter betyr at endepunktene kjørte metoden, og at ett av dem avviste resultatet.

Planlegg migreringen som én endring fra ende til ende

Å bytte metode betyr å endre klientkonfigurasjonen, gatewayens bærerstøtte, serverens metodepolicy og legitimasjonslageret sammen. Gjør det i den rekkefølgen og hold en fungerende vei til den nye er bevist. En endring bare på serversiden er en gjetning, og den ødelegger vanligvis klientene som virket. Forbered endringen på én testidentitet før du rører gruppen.

Noter kombinasjonen som virker: VPN-protokoll, EAP-bærer, peer-metode, servermetode, type legitimasjon og serveridentitetskontroll.

Hold administrativ AAA-innlogging atskilt fra VPN-autentisering med mindre oppgaven uttrykkelig omfatter begge. En endring beregnet på fjern tilgang bør ikke fjerne muligheten din til å administrere enheten som avslutter den.